كيف أعرف أنني في الموقع الصحيح قبل إدخال بيانات الدفع

كيف أعرف أنني في الموقع الصحيح قبل إدخال بيانات الدفع

ويب وأمان

شخص يراجع عنوان الموقع قبل إدخال بيانات الدفع

تصل إلى صفحة دفع تحمل شعار متجر تعرفه، الألوان مألوفة، اسم المنتج صحيح، وحتى نموذج البطاقة

 يبدو مطابقا لما رأيته من قبل.

الخطر أن كل هذا يمكن أن يقنع عينك من دون أن يثبت أن الصفحة تتبع الجهة التي تقصدها.

قبل إدخال بيانات الدفع، أهم معلومة ليست شكل الصفحة بل العنوان الذي انتهى إليه المتصفح

 بعد أي تحويلات.

ومع ذلك فالعنوان نفسه يحتاج قراءة صحيحة، لأن وجود اسم متجر مشهور في جزء من الرابط لا يعني أن الموقع تابع له.

كذلك لا يكفي أن ترى اتصالا مشفرا أو ألا يظهر المتصفح تحذيرا.

هذه إشارات مهمة، لكنها لا تمنح الصفحة شهادة ثقة شاملة.

الموقع الاحتيالي قد يستخدم HTTPS، والموقع القديم قد يتعرض للاختراق، والرابط الذي يبدو مقنعا قد يقود إلى نطاق مختلف بحرف واحد.

الهدف إذن ليس العثور على علامة سحرية تقول إن الصفحة آمنة.

الهدف أن تجمع عدة إشارات قبل أن تمنح الموقع بيانات مالية حساسة، وأن تعرف متى تترك الرابط وتدخل إلى الخدمة من طريق مستقل تعرفه مسبقا.

لا تبدأ من شكل الصفحة بل من العنوان النهائي

التصميم من أسهل أجزاء الموقع التي يمكن تقليدها.

شعار معروف وصور المنتجات وألوان الواجهة لا تخبرك بمن يملك الخادم الذي ستصل إليه بياناتك.

انظر إلى شريط العنوان بعد اكتمال تحميل الصفحة، لا إلى النص المكتوب داخل رسالة أو زر دفع.

قد يبدأ الرابط الذي ضغطت عليه بعنوان يبدو مألوفا ثم يمر عبر تحويلات وينتهي في وجهة أخرى، 

وما يهم عند لحظة إدخال البيانات هو العنوان النهائي الموجود في المتصفح.

إذا كنت تتعامل مع متجر أو بنك تعرف موقعه الرسمي مسبقا، قارن العنوان بما تعرفه فعلا، لا بما يشبهه.

وجود كلمة قريبة من اسم الجهة أو شعار مطابق لا يعوض اختلاف النطاق.

هذه الخطوة لا تثبت وحدها أن الموقع آمن، لكنها تمنع خطأ شائعا جدا، وهو اتخاذ قرار الثقة من الصفحة بينما الدليل الأهم على الوجهة موجود أعلى المتصفح.

وعلى الهاتف قد يختصر المتصفح جزءا من العنوان كي يناسب الشاشة.

قبل الدفع اضغط على شريط العنوان حتى ترى الاسم كاملًا بقدر ما يسمح المتصفح، ولا تعتمد 

على النص الذي يظهر فوق نموذج الدفع أو داخل الصفحة.

وتذكر أن ما يأتي بعد أول شرطة مائلة من العنوان يكون عادة جزءا من المسار داخل الموقع، 

وليس اسم الموقع نفسه.

وجود اسم متجر معروف داخل مسار طويل لا ينقل ملكية الصفحة إليه.

ركز على اسم المضيف قبل المسار، ثم حدد النطاق القابل للتسجيل داخله.

اقرأ النطاق القابل للتسجيل لا آخر كلمتين فقط

كثير من الشروحات تقول اقرأ آخر جزأين من اسم النطاق.

هذه القاعدة تعمل مع عناوين كثيرة مثل example.com، لكنها ليست قاعدة عامة لأن بعض اللواحق العامة تتكون من أكثر من جزء مثل co.uk.

المفهوم الأدق هو النطاق القابل للتسجيل، وهو الاسم الذي يأتي مباشرة قبل اللاحقة العامة

 التي تسمح بتسجيل المواقع تحتها.

في العنوان shop.example.com يكون example.com هو النطاق القابل للتسجيل، وshop نطاقا

 فرعيا تابعا له.

أما في عنوان ينتهي بصيغة مثل example.co.uk فإن النطاق القابل للتسجيل هو example.co.uk،

 وليس co.uk وحده.

لهذا تستخدم المتصفحات والبرامج الأمنية قوائم مخصصة لمعرفة حدود النطاق بدقة بدلا من الاعتماد على عد النقاط فقط.

بالنسبة للمستخدم لا تحتاج إلى حفظ هذه القوائم.

يكفي أن تعرف أن تحديد الموقع الحقيقي ليس دائما أخذ كلمتين من نهاية الرابط، وأنك إذا لم تستطع تمييز حدود النطاق بسهولة في صفحة تطلب بيانات مالية فمن الأفضل أن تصل إلى الجهة من موقع أو تطبيق تعرفه مسبقا.

النطاق الفرعي يمكن أن يحمل اسم جهة لا يملكها

من أكثر أشكال التمويه إقناعا وضع اسم جهة معروفة في بداية عنوان يملكه شخص آخر.

إذا رأيت مثلا bank.example.net فالموقع يتبع example.net، وكلمة bank مجرد نطاق فرعي يختاره مالك example.net.

يمكن للمهاجم أن يجعل النطاق الفرعي طويلا ومقنعا، وأن يضع فيه كلمات مثل login أو secure أو payment أو اسم شركة معروفة.

هذه الكلمات لا تغير مالك النطاق القابل للتسجيل.

وفي المقابل قد تستخدم المؤسسات الحقيقية نطاقات فرعية كثيرة لخدماتها.

لذلك وجود نطاق فرعي ليس علامة خطر بحد ذاته.

السؤال هو هل النطاق القابل للتسجيل الذي يقع تحته هذا الجزء هو النطاق الذي تعرف أنه تابع للجهة.

هذا الفرق يحميك من قاعدة أخرى خاطئة، وهي البحث عن اسم الشركة في أي مكان داخل الرابط.

اسم الشركة قد يظهر في أول العنوان أو في مساره بعد الشرطة المائلة، بينما الوجهة الفعلية

 يحددها اسم المضيف الذي يتصل به المتصفح.

هناك استثناء عملي مهم عند الدفع.

بعض المتاجر تحولك بصورة مشروعة إلى نطاق مستقل تابع لمقدم دفع خارجي، لذلك ليس مطلوبا

 أن يبقى اسم المتجر نفسه في كل صفحة.

في هذه الحالة لا تحكم بأن التحويل احتيالي لمجرد تغير النطاق، لكن تأكد أنك بدأت العملية من المتجر الصحيح وأن التحويل حدث أثناء مسار دفع طلبته أنت.

إذا باغتك نطاق دفع مختلف لم تره من قبل، أو ظهر بعد رابط وصل في رسالة وليس بعد Checkout بدأته بنفسك، عد إلى المتجر من عنوانه المعروف وابدأ الدفع من جديد.

الفرق هنا بين انتقال متوقع بدأته من موقع صحيح وبين رابط خارجي يطلب منك الثقة به من البداية.

HTTPS يحمي الاتصال ولا يثبت هوية المتجر

وجود HTTPS مهم، لأنه يعني أن المتصفح يستخدم اتصالا مشفرا مع الموقع الذي فتحته.

هذا يقلل قدرة طرف آخر في الطريق على قراءة البيانات أو تعديلها أثناء انتقالها.

لكن التشفير لا يجيب عن السؤال الأهم، هل الموقع الذي أنشأت معه الاتصال هو الجهة التي كنت تقصدها.

يمكن لموقع تصيد أن يملك نطاقه الخاص وأن يحصل على شهادة صالحة لذلك النطاق ثم يعرض

 لك صفحة مزيفة عبر اتصال مشفر.

لهذا تنبه إرشادات Chrome إلى ضرورة التأكد من اسم الموقع في شريط العنوان حتى عندما يكون الاتصال آمنا.

اقرأ ايضا : كيف أحمي ملفات العمل عندما يكون جهازي شخصيًا؟

حالة الاتصال تخبرك عن حماية القناة، ولا تحول النطاق الغريب إلى نطاق رسمي.

كما أن واجهات المتصفحات تغيرت مع الوقت، لذلك لا تبن عادتك على البحث عن شكل معين لرمز القفل.

ركز على اسم الموقع والتحذيرات التي يعرضها المتصفح، وتعامل مع HTTPS كشرط مهم عند إرسال بيانات حساسة لا كدليل على شرعية النشاط التجاري.

الشهادة وعمر النطاق إشارات ثانوية لا أحكام

الخام يجعل فحص شهادة TLS طريقة عميقة لإثبات هوية المتجر، وهذا يحمّل الشهادة وظيفة لا تؤديها دائما.

كثير من الشهادات الشائعة من نوع التحقق من النطاق تثبت السيطرة على اسم النطاق المطلوب للشهادة، ولا تثبت هوية المؤسسة التجارية التي تتخيل أنك تتعامل معها.

لذلك لا تعتمد على اسم الجهة المصدرة للشهادة أو مدة صلاحيتها كي تقرر أن المتجر حقيقي.

شهادة صالحة لموقع مزيف تظل شهادة صالحة لذلك الموقع المزيف.

وعمر النطاق مفيد أحيانا كإشارة بحث إضافية، لكنه ليس حكما.

بعض نطاقات التصيد تسجل حديثا فعلا، لكن مواقع شرعية جديدة تسجل كل يوم، كما أن مواقع قديمة وموثوقة قد تتعرض للاختراق ويضاف إليها محتوى احتيالي.

إذا كان متجر غير معروف يدعي تاريخا طويلا بينما تشير مصادر مستقلة إلى أنه ظهر حديثا فهذه معلومة تستحق التوقف، لكنها لا تتحول وحدها إلى برهان قاطع.

اجمعها مع هوية النشاط والعنوان النهائي وسمعة الموقع وطريقة وصولك إليه.

الحروف المتشابهة تجعل النظر وحده غير كاف

يمكن تسجيل أسماء نطاقات دولية بحروف من لغات متعددة، وبعض الأحرف قد تبدو متقاربة

جدا على الشاشة رغم أنها مختلفة تقنيا.

لهذا توجد مخاطر معروفة تتعلق بالنطاقات المتشابهة بصريا.

المتصفحات تطبق سياسات للحد من هذه الخدع، وقد تعرض بعض الأسماء بصيغة مختلفة عندما ترى تركيبا مثيرا للريبة، لكنها ليست سببا للاعتماد على قدرتك البصرية وحدها.

ولا أنصح بجعل نسخ الرابط إلى محرر نصوص اختبارا حاسما كما يفعل الخام.

طريقة العرض قد تختلف بين البرامج، وقد يبقى الاسم مفهوما أو يتحول إلى صيغة ترميزية بحسب التطبيق والسياسة المستخدمة.

إذا كان اسم النطاق يحتوي حروفا غريبة أو اختلافا يصعب عليك تفسيره، فالحل الأبسط ليس محاولة التحول إلى خبير ترميز.

اترك الصفحة، وافتح التطبيق الرسمي أو اكتب عنوانا تعرفه مسبقا أو استخدم علامة مرجعية أنشأتها عندما كنت متأكدا من الموقع.

إذا جاء الرابط من رسالة فادخل من طريق مستقل

أكثر لحظة تحتاج فيها إلى كسر مسار الرابط هي عندما تأتيك رسالة غير متوقعة تقول إن حسابك سيتوقف أو إن دفعة فشلت أو إن شحنة تحتاج رسوما عاجلة.

بدل الضغط على الرابط ثم محاولة إثبات أنه صحيح، افتح التطبيق الرسمي بنفسك أو اذهب إلى موقع تعرف عنوانه مسبقا ثم تحقق من وجود المشكلة داخل حسابك.

هذه الطريقة تفصل قرارك عن الرابط الذي أرسله الطرف الآخر بالكامل.

لجنة التجارة الفيدرالية الأمريكية توصي بالنهج نفسه في رسائل التصيد، لا تستخدم الرابط أو معلومات الاتصال الموجودة في الرسالة، بل تواصل مع الجهة عبر موقع أو وسيلة تعرف أنها صحيحة.

وإذا كان المتجر جديدا عليك ولا تملك له عنوانا معروفا، فلا توجد طريقة سحرية تجعل النطاق وحده إثباتا لهويته.

ابحث عن النشاط من مصادر مستقلة، وتأكد أن أكثر من مصدر موثوق يقود إلى النطاق نفسه قبل إدخال بيانات الدفع.

وينطبق المنطق نفسه على رموز الاستجابة السريعة والروابط المختصرة.

الرمز لا يمنح الوجهة ثقة إضافية، والرابط المختصر يخفي الاسم النهائي إلى أن يفتح.

إذا استخدمته للوصول إلى عرض أو فاتورة، افحص العنوان الذي انتهى إليه المتصفح قبل كتابة

 أي معلومة مالية.

ولا تجعل نتيجة البحث نفسها دليلا كافيا على الرسمية.

قد تصل إلى موقع صحيح من محرك البحث، لكن المهم أن تتحقق من النطاق الذي فتحته فعلًا، خصوصا إذا كانت النتيجة إعلانا أو كان اسم الجهة شائعا ويظهر بجانبه أكثر من موقع مشابه.

تحذير المتصفح سبب للتوقف وغيابه ليس ضمانا

المتصفحات الحديثة تستخدم خدمات حماية مثل Google Safe Browsing للتحذير من صفحات معروفة أو مشتبه بها في التصيد والبرمجيات الضارة والهندسة الاجتماعية.

إذا ظهرت شاشة تحذير حمراء أو رسالة تقول إن الموقع خطير أو قد يكون مزييفا، لا تجعل شكل الصفحة أو استعجال الرسالة سببين لتجاوزها.

توقف وعد إلى الجهة من مسار مستقل.

لكن عدم ظهور تحذير لا يعني أن الصفحة حصلت على حكم بأنها سليمة.

أنظمة الحماية تكتشف كثيرا من المواقع الخبيثة، لكنها قد تواجه نطاقا جديدا أو صفحة لم تجمع 

عنها إشارات كافية بعد.

اعتبر تحذير المتصفح إشارة قوية للتوقف، واعتبر غيابه حالة طبيعية فقط، ثم أكمل فحص العنوان والجهة وطريق الوصول.

الأمان العملي هنا مبني على طبقات لا على ضوء أخضر واحد.

وإذا كان متصفحك يوفر معلومات إضافية عن الصفحة أو المصدر، مثل معلومات عن الموقع أو وقت ظهوره في فهرس البحث، فيمكن استخدامها كقرينة إضافية عند الشك.

لكنها تظل قرينة وليست إثباتا، لأن موقعا حديثا قد يكون شرعيا، وموقعا قديما قد يتعرض للاختراق.

كل أداة هنا تساعدك على تقليل عدم اليقين ولا تلغي الحاجة إلى التحقق من الوجهة نفسها.

استخدم بوابة الموقع الصحيح قبل الدفع

قبل أن تكتب رقم البطاقة أو بيانات الحساب، مرر الصفحة عبر خمس نقاط.

الأولى المصدر، كيف وصلت إلى الصفحة، وهل الرابط جاء من رسالة مفاجئة أم من طريق تعرفه.

الثانية العنوان، ما اسم المضيف النهائي الظاهر في المتصفح بعد أي تحويل.

الثالثة النطاق، ما النطاق القابل للتسجيل الذي تتبعه الصفحة فعلا، وهل يطابق النطاق المعروف للجهة التي تقصدها.

الرابعة الاتصال، هل يستخدم الموقع اتصالا آمنا، وهل يعرض المتصفح أي تحذير أمني.

الخامسة التحقق المستقل، إذا بقي لديك شك فهل تستطيع الوصول إلى الجهة نفسها من التطبيق الرسمي أو علامة مرجعية أو موقع تعرفه أو مصدر مستقل.

إذا فشل المصدر فلا تحاول تعويضه بجمال الصفحة.

وإذا اختلف النطاق فلا تجعل HTTPS يقنعك بالاستمرار.

اقرأ ايضا : كيف يخدعك استنساخ الصوت بمكالمة تبدو من شخص تعرفه؟

وإذا لم تعرف المتجر أصلا فلا تجعل عمر النطاق أو شهادة الاتصال يصنعان يقينا غير موجود.

والقاعدة الأهم عند الدفع بسيطة، عندما تحتاج إلى إقناع نفسك بأن العنوان ربما يكون صحيحا، لا تدخل البيانات بعد.

اخرج من الصفحة، وابحث عن طريق مستقل يثبت أين يجب أن تكون، ثم عد إلى عملية الدفع من هناك.

بضع لحظات من التحقق قبل الدفع أقل كلفة من محاولة استعادة حساب أو بطاقة بعد تسليم البيانات لوجهة لم تكن تقصدها.